网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

假如黑客也有饭圈，盘点过去一年间攻击者最pick的恶意软件

2022-08-30 16:40 来源: 中科爱好小达人

原标题：假如黑客也有饭圈，盘点过去一年间攻击者最pick的恶意软件

美国网络安全和基础设施安全局(CISA)和澳大利亚网络安全中心(ACSC)联合发布了安全公告。假如黑客也有饭圈，那么以下从多维度介绍了过去一年间攻击者中呼声高且利用率高的恶意软件。

2021年 最常见的恶意软件主要是远程访问木马(RAT)、银行木马、信息窃取程序和勒索软件。大多数恶意软件已经使用了五年多，各自的代码库演变成多种变体。

集体画像

Qakbot和TrickBot用于形成僵尸网络，由欧亚网络犯罪分子开发和运营，使用或代理支持僵尸网络访问来促进利润丰厚的勒索软件攻击。欧亚网络犯罪分子在俄罗斯和其他前苏联共和国享有宽松的运营环境。

TrickBot恶意软件通常会启用Conti勒索软件的初始访问权限，该勒索软件在2021年上半年被用于近450次全球勒索软件攻击。截至2020年，恶意网络行为者已多次购买受TrickBot恶意软件攻击的系统的访问权限，以进行网络犯罪行动。

2021年，网络犯罪分子利用Formbook、Agent Tesla和Remcos恶意软件开展了大规模网络钓鱼活动，这些恶意软件利用了新冠疫情流行为主题，以窃取企业和个人的个人数据和凭据。

在犯罪恶意软件行业，包括恶意软件即服务(MaaS)，开发人员创建恶意软件，恶意软件分发者通常会将其代理给恶意软件最终用户。这些常见的恶意软件的开发人员在几年内继续支持、改进和分发他们的恶意软件。恶意软件开发人员受益于利润丰厚的网络运营，负面后果风险较低。许多恶意软件开发人员通常在几乎没有法律禁止恶意软件开发和部署的地方开展业务。一些开发人员甚至将其恶意软件产品作为合法的网络安全工具进行营销。例如，Remcos和Agent Tesla的开发人员将该软件作为远程管理和渗透测试的合法工具进行营销。恶意网络行为者可以低成本在线购买Remcos和Agent Tesla，并且已观察到出于恶意目的使用这两种工具。

重点“ 选手 ”展示

Agent Tesla能够从邮件客户端、Web浏览器和文件传输协议(FTP)服务器窃取数据，还可以捕获屏幕截图、视频和Windows剪贴板数据。Agent Tesla可以在线购买，伪装成管理个人电脑的合法工具。开发人员继续添加新功能，包括模糊处理功能，和针对其他应用程序的凭据窃取功能。Agent Tesla自2014年开始活跃，是远程访问木马（RAT），通常作为网络钓鱼电子邮件中的恶意附件进行传播。

AZORult用于从受感染的系统中窃取信息，已在地下黑客论坛上出售，用于窃取浏览器数据、用户凭据和加密货币信息。AZORult的开发人员正在不断更新其功能。AZORult自2016年开始活跃，是特洛伊木马，通过网络钓鱼、受感染的网站、漏洞利用工具包、或通过下载和安装AZORult恶意软件来传播。

Ursnif是一种窃取金融信息的银行木马，也被称为Gozi，经过多年的发展，已经发展到包括持久性机制、避免沙箱和虚拟机检测、以及磁盘加密软件的搜索功能，以尝试提取未加密文件的密钥。截至2022年7月，Ursnif基础设施仍处于活跃状态。Ursnif自2007年开始活跃，是特洛伊木马，通常作为钓鱼邮件的恶意附件进行传播。

LokiBot是一种木马恶意软件，用于窃取敏感信息，包括用户凭据、加密货币钱包和其他凭据。2020年LokiBot变体被伪装成Fortnite多人视频游戏的启动器。Ursnif自2015年开始活跃，是特洛伊木马，通常作为恶意电子邮件附件进行传播。

MOUSEISLAND通常位于Microsoft Word文档的嵌入式宏中，并且可以下载其他有效负载。MOUSEISLAND可能是勒索软件攻击的初始阶段。Ursnif自2019年开始活跃，是宏下载器，通常作为电子邮件附件进行分发。

NanoCore用于窃取受害者的信息，包括密码和电子邮件，还可能允许恶意用户激活计算机的网络摄像头来监视受害者。恶意软件开发人员继续开发附加功能，作为可供购买的插件或恶意软件工具包在恶意网络行为者之间共享。NanoCore自2013年开始活跃，是远程访问木马，已在电子邮件中作为恶意ZIP文件中的ISO磁盘映像传播，也在云存储服务上托管的恶意PDF文档中发现。